Если злоумышленники украдут пароль человека, то его можно сменить, однако если похищены отпечатки пальцев, это открывает широкий простор для совершения преступлений против конкретного гражданина на протяжении всей его жизни. Об этом, в частности, в своем недавнем интервью говорил исследователь Карстен Ноль (мы публиковали выдержки из него в блоге на Хабре). Теперь этот тезис получил еще одно подтверждение.
В начале лета 2015 года стало известно о том, что неизвестные злоумышленники осуществили атаку на Управление кадровой службы США (US Office of Personnel Management, OPM) и похитили личные данные более 21 миллионов американских госслужащих. Теперь Управление призналось в том, что среди украденной информации содержались и отпечатки пальцев 5,6 млн служащих.
Представители американских спецслужб, расследующих инцидент, ранее заявляли о том, что подозревают в атаке хакеров из Китая. Управление кадровой службы США является HR-департаментом федерального правительства страны. Это значит, что в руках злоумышленников могли оказаться отпечатки пальцев весьма высокопоставленных госслужащих.
В специальном заявлении предcтавители OPM заявили о том, что возможности для неправомерного использования хакерами украденных данных на данный момент ограничены. Однако с течением времени этот риск может увеличиться в виду, к примеру, более широкого внедрения механизмов биометрической аутентификации в системы безопасности государственных сервисов.
При этом, жертвы утечки начали получать уведомления о том, что их данные были похищены, только в конце сентября, хотя Управление кадровой службы еще летом наняло фирму, которая будет заниматься защитой финансовых данных госслужащих.
Как можно использовать чужие отпечатки? Исследователи безопасности из Chaos Computer Club еще осенью 2013 года продемонстрировали, как легко обойти систему биометрической идентификации TouchID на популярных устройствах компании Apple. Получив чужой отпечаток пальца, немецкие хакеры с помощью несложной техники изготовили «искусственный палец» и разблокировали iPhone 5s, защищенный с помощью TouchID (видео).
Спустя год, зимой 2014 года на форуме 31C3 та же команда представила доклад об удаленном получении биометрик — например, по фотографии. Таким образом, теперь хакерам даже не нужно «снимать пальчики» со стаканов жертвы, достаточно снимка с высоким разрешением. Ниже видео (на немецком) об этой технике, с помощью которой исследователи получили отпечатки первых лиц государства:
Комментарии (22)
dcc0
29.09.2015 20:11Об уязвимости медицинского оборудования для хакеров:
http://www.bbc.com/news/technology-34390165
ptsecurity
29.09.2015 20:30Ну, это немножечко уже баян. Исследование Скотта Эрвина опубликовано весной 2014 года. Мы писали о нём в обзоре уязвимостей оздоровительных гаджетов (в самом конце, где про взлом дефибрилляторов):
habrahabr.ru/company/pt/blog/246855dcc0
30.09.2015 10:14Опубликовано на BBC за 4 часа до моего перепоста. Т.е. Вы считаете, что донесли эту информацию в статье с заголовком «Bluetooth и другие способы взлома наручников»?
Т.е. Вы абсолютно убеждены, что абсолютно все русскоязычные пользователи читают блог вашей компании?ptsecurity
01.10.2015 14:30Мы абсолютно убеждены, что исследование Скотта Эрвина опубликовано весной 2014 года, а сейчас — осень 2015-го.
Если вас расстраивает такой пруф, как наш блог — можете почитать прошлогодний Wired, там гораздо подробнее, чем в BBC:
www.wired.com/2014/04/hospital-equipment-vulnerable
Ничего личного, просто мы предпочитаем добираться до первоисточников с подробностями. А сайт BBC в этом смысле — не лучший источник. Примерно как российские «Известия».dcc0
02.10.2015 12:58Это похвально, что при современных объемах информации у вас есть возможность заниматься столь глубокими исследованиями.
fshp
30.09.2015 03:34+4Теперь для кражи айфона не нужно отрубать пальцы.
PavelMSTU
02.10.2015 12:35Несколько лет назад на лекции по ОИБ (основам информационной безопасности) мой сосед по парте спросил: «А что если отрезать палец?»
Лектор многозначительно задумался и с самым серьезным видом ответил: «Хм… Вполне разумное решение. Только при использовании нужно не забыть отрезанный палец нагреть»…
PavelMSTU
30.09.2015 11:10-5Да… Наверное этим летом поеду не в Испанию (шенген), а в Сербию…
tyomitch
30.09.2015 15:03+2Держите нас в курсе.
ChiefPilot
01.10.2015 15:41+1Возможно человек просто имел ввиду, что для получения шенгенской визы теперь требуется сдавать свои отпечатки, и он боится аналогичной их утечки уже из таможенных сервисов?
tyomitch
01.10.2015 16:10Мой знакомый россиянин, получавший шенгенскую визу пару месяцев назад, говорит, что никто у него не требовал сдавать отпечатки.
ChiefPilot
01.10.2015 18:02+2Эти правила вступили в силу буквально «на днях». Два месяца это большой срок.
P.S.: Пишут, что с 14 сентября.PavelMSTU
02.10.2015 12:23Именно это я и имел в виду ;)…
Вообще, если честно, мне не понятно: если есть такое желание использовать биоидентификацию, то почему бы не использовать голос человека? ЦРТ, NICE…
Голосом можно попросить прочитать какую-нибудь строчку, а с помощью разпознавания речи понять, является ли голос корректным…ChiefPilot
02.10.2015 12:32Может быть потому, что распознавание голоса всё-таки сильно менее надёжно, чем отпечатки? Я совершенно не в курсе, но может быть голос менее индивидуален и уникален, чем отпечатки?
PavelMSTU
02.10.2015 12:38ChiefPilot, палец можно подделать — пленочка на пальчик и дело в шляпе.
Снять отпечаток пальца плевое дело: нужно просто дать в руки бокал вина и все!
С голосом труднее, есть технологии, которые даже искаженный голос с 99% вероятностью определяют.
Конечно тут тоже есть игра, как в криптографии и стеганографии.
Я профан в данных вопросах, но знаю, что в бизнесе голос употребляют. Например в колл центрах…
TimsTims
30.09.2015 13:03их данные были похищены, только в конце сентября, хотя Управление кадровой службы еще летом наняло фирму, которая будет заниматься защитой
Ну логично было предположить, что наняли такую фирму, в которой крот и завелся. Фирму наняли — следом слив. Вывод напрашивается сам собой
romy4
Хм, а я думал хранятся только какие-то хитрые хэши результатов алгоритмов, которые получаются путём оцифровки скана пальца. Реально хранились bitmap-ы отпечатков?
datacompboy
Отпечаток нельзя использовать для человеческой дактилоскопии
Alexufo
Как бэ хеши для поиска, да. Но в случае каких то проволочек человек в ручную принимает решение о том принадлежит ли данный отпечаток текущему человеку или нет. Поэтому картинку тож сохраняют.
Blumfontein
Мне кажется, в случае проволочек вручную документы будут проверять.
Alexufo
в случае проволочек с идентификацией по пальцу, например когда находится несколько лиц с очень схожим отпечатком. Потому рекомендуют держать копию отпечатка для эксперта.